[2025][Juniper SRX #26] Source Nat - SNAT - IP Pool

안녕하세요.

 

오늘은 Juniper SRX에서 Source NAT를 IP Pool에 대해서 설정해보겠습니다.

 

토폴로지는 아래와 같습니다. 

 

Ge-0/0/0 192.168.10.83 IP를 사용하지 않고, 192.168.10.84 IP를 통해서 Trust / DMZ Traffic를 SNAT하겠습니다. 

 

1.SRX01 기본설정 입니다.

1-1 SRX 디폴트로 설정되어진 설정값을 삭제 합니다. 

FreeBSD/amd64 (Amnesiac) (ttyu0) login: root --- JUNOS 21.3R1.9 Kernel 64-bit XEN JNPR-12.1-20210828.6e5b1bf_buil root@:~ # cli root>  root>  root>  root> configure  Entering configuration mode [edit] root# delete  This will delete the entire configuration Delete everything under this level? [yes,no] (no) yes  [edit] root# set system root-authentication plain-text-password  New password: Retype new password: [edit] root# commit

 

1-2 Interface 설정

set interfaces ge-0/0/0 unit 0 family inet address 192.168.10.83/24 set interfaces ge-0/0/1 unit 0 family inet address 10.1.1.254/24 set interfaces ge-0/0/2 unit 0 family inet address 20.1.1.254/24 set protocols lldp interface all set routing-options static route 0.0.0.0/0 next-hop 192.168.10.253

 

1-3 Interface를 Zone에 할당하기. 그리고 system-services all로 설정

set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust host-inbound-traffic protocols all set security zones security-zone trust interfaces ge-0/0/1.0 set security zones security-zone untrust host-inbound-traffic system-services all set security zones security-zone untrust host-inbound-traffic protocols all set security zones security-zone untrust interfaces ge-0/0/0.0 set security zones security-zone dmz host-inbound-traffic system-services all set security zones security-zone dmz host-inbound-traffic protocols all set security zones security-zone dmz interfaces ge-0/0/2.0

 

1-4 SRX에서 방화벽 정책 설정

set security policies from-zone trust to-zone untrust policy trust_to_untrust match source-address any set security policies from-zone trust to-zone untrust policy trust_to_untrust match destination-address any set security policies from-zone trust to-zone untrust policy trust_to_untrust match application any set security policies from-zone trust to-zone untrust policy trust_to_untrust then permit set security policies from-zone trust to-zone dmz policy trust_to_untrust match source-address any set security policies from-zone trust to-zone dmz policy trust_to_untrust match destination-address any set security policies from-zone trust to-zone dmz policy trust_to_untrust match application any set security policies from-zone trust to-zone dmz policy trust_to_untrust then permit set security policies from-zone dmz to-zone untrust policy trust_to_untrust match source-address any set security policies from-zone dmz to-zone untrust policy trust_to_untrust match destination-address any set security policies from-zone dmz to-zone untrust policy trust_to_untrust match application any set security policies from-zone dmz to-zone untrust policy trust_to_untrust then permit

 

2. HTTP SERVER 설정 - 저는 cisco router를 http enable 해서 http server로 사용하겠습니다

conf t int g0/0 ip add 20.1.1.1 255.255.255.0 no sh ip route 0.0.0.0 0.0.0.0 20.1.1.254 ip http server

 

R1#show  *Feb 14 05:15:18.099: %SYS-5-CONFIG_I: Configured from console by consoleip int brie Interface                  IP-Address      OK? Method Status                Protocol GigabitEthernet0/0         20.1.1.1        YES manual up                    up       GigabitEthernet0/1         unassigned      YES unset  administratively down down     GigabitEthernet0/2         unassigned      YES unset  administratively down down     GigabitEthernet0/3         unassigned      YES unset  administratively down down     R1#    R1#show ip route Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP        D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area         N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2        E1 - OSPF external type 1, E2 - OSPF external type 2        i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2        ia - IS-IS inter area, * - candidate default, U - per-user static route        o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP        a - application route        + - replicated route, % - next hop override, p - overrides from PfR Gateway of last resort is 20.1.1.254 to network 0.0.0.0 S*    0.0.0.0/0 [1/0] via 20.1.1.254       20.0.0.0/8 is variably subnetted, 2 subnets, 2 masks C        20.1.1.0/24 is directly connected, GigabitEthernet0/0 L        20.1.1.1/32 is directly connected, GigabitEthernet0/0 R1#ping 20.1.1.254 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 20.1.1.254, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/4 ms R1#

 

3. PC 설정

VPCS> ip 10.1.1.1/24 10.1.1.254 Checking for duplicate address... VPCS : 10.1.1.1 255.255.255.0 gateway 10.1.1.254 VPCS> save Saving startup configuration to startup.vpc .  done VPCS>  VPCS> ping 10.1.1.254 84 bytes from 10.1.1.254 icmp_seq=1 ttl=64 time=0.418 ms 84 bytes from 10.1.1.254 icmp_seq=2 ttl=64 time=0.573 ms 84 bytes from 10.1.1.254 icmp_seq=3 ttl=64 time=0.539 ms 84 bytes from 10.1.1.254 icmp_seq=4 ttl=64 time=0.567 ms ^C VPCS>

 

 

PC에서 ping 8.8.8.8 시도

VPCS> ping 8.8.8.8 8.8.8.8 icmp_seq=1 timeout 8.8.8.8 icmp_seq=2 timeout 8.8.8.8 icmp_seq=3 timeout 8.8.8.8 icmp_seq=4 timeout

 

SRX에서 Source NAT (SNAT)가 설정 안되어져 있어서 통신이 불가능 합니다. 

SRX에서 SNAT 설정

set security nat source pool source_nat address 192.168.10.84/32 set security nat source rule-set SOURCE-NAT from zone trust set security nat source rule-set SOURCE-NAT to zone untrust set security nat source rule-set SOURCE-NAT rule PAT-INTERFACE match source-address 10.1.1.0/24 set security nat source rule-set SOURCE-NAT rule PAT-INTERFACE match destination-address 0.0.0.0/0 set security nat source rule-set SOURCE-NAT rule PAT-INTERFACE then source-nat pool source_nat

PC에서 다시 확인

VPCS> ping 8.8.8.8 8.8.8.8 icmp_seq=621 timeout 8.8.8.8 icmp_seq=622 timeout 8.8.8.8 icmp_seq=623 timeout 8.8.8.8 icmp_seq=624 timeout 8.8.8.8 icmp_seq=625 timeout 8.8.8.8 icmp_seq=626 timeout 8.8.8.8 icmp_seq=627 timeout 8.8.8.8 icmp_seq=628 timeout 8.8.8.8 icmp_seq=629 timeout 8.8.8.8 icmp_seq=630 timeout 8.8.8.8 icmp_seq=631 timeout 8.8.8.8 icmp_seq=632 timeout VPCS>

 

그 이유는 SRX에서 Proxy로 IP POOL에 사용하는 IP 주소를 설정 해야지 Ge-0/0/0가 ARP에 대해서 응답합니다.

set security nat proxy-arp interface ge-0/0/0.0 address 192.168.10.84

 

PC에서 다시 8.8.8.8 PING

VPCS> ping 8.8.8.8 -c 1000 8.8.8.8 icmp_seq=1 timeout 84 bytes from 8.8.8.8 icmp_seq=2 ttl=56 time=2.049 ms 84 bytes from 8.8.8.8 icmp_seq=3 ttl=56 time=1.954 ms 84 bytes from 8.8.8.8 icmp_seq=4 ttl=56 time=2.603 ms 84 bytes from 8.8.8.8 icmp_seq=5 ttl=56 time=2.052 ms 84 bytes from 8.8.8.8 icmp_seq=6 ttl=56 time=2.130 ms 84 bytes from 8.8.8.8 icmp_seq=7 ttl=56 time=2.229 ms 84 bytes from 8.8.8.8 icmp_seq=8 ttl=56 time=2.078 ms 84 bytes from 8.8.8.8 icmp_seq=9 ttl=56 time=2.150 ms 84 bytes from 8.8.8.8 icmp_seq=10 ttl=56 time=2.061 ms 84 bytes from 8.8.8.8 icmp_seq=11 ttl=56 time=2.151 ms 84 bytes from 8.8.8.8 icmp_seq=12 ttl=56 time=2.173 ms 84 bytes from 8.8.8.8 icmp_seq=13 ttl=56 time=2.450 ms 84 bytes from 8.8.8.8 icmp_seq=14 ttl=56 time=2.411 ms 84 bytes from 8.8.8.8 icmp_seq=15 ttl=56 time=2.296 ms 84 bytes from 8.8.8.8 icmp_seq=16 ttl=56 time=2.049 ms 84 bytes from 8.8.8.8 icmp_seq=17 ttl=56 time=2.047 ms 84 bytes from 8.8.8.8 icmp_seq=18 ttl=56 time=2.101 ms

 

SRX session 확인

root> show security flow session  Session ID: 3402, Policy name: self-traffic-policy/1, State: Stand-alone, Timeout: 2, Valid   In: 172.16.10.20/1 --> 192.168.10.83/2368;icmp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1, Bytes: 60,    Out: 192.168.10.83/2368 --> 172.16.10.20/1;icmp, Conn Tag: 0x0, If: .local..0, Pkts: 1, Bytes: 60,  Session ID: 3403, Policy name: trust_to_untrust/4, State: Stand-alone, Timeout: 2, Valid   In: 10.1.1.1/37592 --> 8.8.8.8/64;icmp, Conn Tag: 0x0, If: ge-0/0/1.0, Pkts: 1, Bytes: 84,    Out: 8.8.8.8/64 --> 192.168.10.84/20216;icmp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1, Bytes: 84,  Session ID: 3405, Policy name: self-traffic-policy/1, State: Stand-alone, Timeout: 2, Valid   In: 172.16.10.20/1 --> 192.168.10.83/2369;icmp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1, Bytes: 60,    Out: 192.168.10.83/2369 --> 172.16.10.20/1;icmp, Conn Tag: 0x0, If: .local..0, Pkts: 1, Bytes: 60,  Session ID: 3406, Policy name: trust_to_untrust/4, State: Stand-alone, Timeout: 2, Valid   In: 10.1.1.1/37848 --> 8.8.8.8/65;icmp, Conn Tag: 0x0, If: ge-0/0/1.0, Pkts: 1, Bytes: 84,    Out: 8.8.8.8/65 --> 192.168.10.84/30540;icmp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1, Bytes: 84,  Session ID: 3408, Policy name: self-traffic-policy/1, State: Stand-alone, Timeout: 4, Valid   In: 172.16.10.20/1 --> 192.168.10.83/2370;icmp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1, Bytes: 60,    Out: 192.168.10.83/2370 --> 172.16.10.20/1;icmp, Conn Tag: 0x0, If: .local..0, Pkts: 1, Bytes: 60,  Session ID: 3409, Policy name: trust_to_untrust/4, State: Stand-alone, Timeout: 4, Valid   In: 10.1.1.1/38104 --> 8.8.8.8/66;icmp, Conn Tag: 0x0, If: ge-0/0/1.0, Pkts: 1, Bytes: 84,    Out: 8.8.8.8/66 --> 192.168.10.84/22474;icmp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1, Bytes: 84,  Session ID: 3411, Policy name: self-traffic-policy/1, State: Stand-alone, Timeout: 4, Valid   In: 172.16.10.20/1 --> 192.168.10.83/2371;icmp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1, Bytes: 60,    Out: 192.168.10.83/2371 --> 172.16.10.20/1;icmp, Conn Tag: 0x0, If: .local..0, Pkts: 1, Bytes: 60,  Total sessions: 7 root>

 

HTTP Server에서 Ping 8.8.8.8 시도 

SRX DMZ SNAT 설정이 없어서 실패

R1#ping 8.8.8.8 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds: ..... Success rate is 0 percent (0/5) R1#

 

SRX에서 DMZ를 위해서 SNAT설정

set security nat source rule-set SOURCE-NAT from zone dmz set security nat source rule-set SOURCE-NAT rule PAT-INTERFACE match source-address 20.1.1.0/24

 

HTTP Server에서 Ping 시도

R1#ping 8.8.8.8 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 3/4/6 ms R1#

 

SRX에서 기본적인 부분 확인 Command

 

Interface 확인

root> show interfaces terse  Interface               Admin Link Proto    Local                 Remote ge-0/0/0                up    up ge-0/0/0.0              up    up   inet     192.168.10.83/24 gr-0/0/0                up    up ip-0/0/0                up    up lsq-0/0/0               up    up lt-0/0/0                up    up mt-0/0/0                up    up sp-0/0/0                up    up sp-0/0/0.0              up    up   inet                                        inet6    sp-0/0/0.16383          up    up   inet     ge-0/0/1                up    up ge-0/0/1.0              up    up   inet     10.1.1.254/24    ge-0/0/2                up    up ge-0/0/2.0              up    up   inet     20.1.1.254/24    dsc                     up    up fti0                    up    up fxp0                    up    up gre                     up    up ipip                    up    up irb                     up    up lo0                     up    up lo0.16384               up    up   inet     127.0.0.1           --> 0/0 lo0.16385               up    up   inet     10.0.0.1            --> 0/0                                             10.0.0.16           --> 0/0                                             128.0.0.1           --> 0/0                                             128.0.0.4           --> 0/0                                             128.0.1.16          --> 0/0 lo0.32768               up    up   lsi                     up    up mtun                    up    up pimd                    up    up pime                    up    up pp0                     up    up ppd0                    up    up ppe0                    up    up st0                     up    up tap                     up    up vlan                    up    down

 

Routing 확인

root> show route  inet.0: 7 destinations, 7 routes (7 active, 0 holddown, 0 hidden) + = Active Route, - = Last Active, * = Both 0.0.0.0/0          *[Static/5] 00:13:56                     >  to 192.168.10.253 via ge-0/0/0.0 10.1.1.0/24        *[Direct/0] 00:13:56                     >  via ge-0/0/1.0 10.1.1.254/32      *[Local/0] 00:13:56                        Local via ge-0/0/1.0 20.1.1.0/24        *[Direct/0] 00:13:56                     >  via ge-0/0/2.0 20.1.1.254/32      *[Local/0] 00:13:56                        Local via ge-0/0/2.0 192.168.10.0/24    *[Direct/0] 00:13:56                     >  via ge-0/0/0.0 192.168.10.83/32   *[Local/0] 00:13:56                        Local via ge-0/0/0.0 inet6.0: 1 destinations, 1 routes (1 active, 0 holddown, 0 hidden) + = Active Route, - = Last Active, * = Both ff02::2/128        *[INET6/0] 00:30:41                        MultiRecv         root>

 

Security Zone 확인

root> show security zones terse  Zone                        Type dmz                         Security trust                       Security untrust                     Security junos-host                  Security root> show security zones        Security zone: dmz   Zone ID: 10   Send reset for non-SYN session TCP packets: Off   Policy configurable: Yes     Interfaces bound: 1   Interfaces:     ge-0/0/2.0   Advanced-connection-tracking timeout: 1800   Unidirectional-session-refreshing: No Security zone: trust   Zone ID: 7   Send reset for non-SYN session TCP packets: Off   Policy configurable: Yes     Interfaces bound: 1   Interfaces:     ge-0/0/1.0   Advanced-connection-tracking timeout: 1800   Unidirectional-session-refreshing: No Security zone: untrust   Zone ID: 8   Send reset for non-SYN session TCP packets: Off   Policy configurable: Yes     Interfaces bound: 1   Interfaces:     ge-0/0/0.0   Advanced-connection-tracking timeout: 1800   Unidirectional-session-refreshing: No Security zone: junos-host   Zone ID: 2   Send reset for non-SYN session TCP packets: Off   Policy configurable: Yes     Interfaces bound: 0   Interfaces:   Advanced-connection-tracking timeout: 1800   Unidirectional-session-refreshing: No

 

방화벽 정책 확인

root> show security policies     Default policy: deny-all Default policy log Profile ID: 0 Pre ID default policy: permit-all From zone: trust, To zone: untrust   Policy: trust_to_untrust, State: enabled, Index: 4, Scope Policy: 0, Sequence number: 1, Log Profile ID: 0     Source vrf group: any     Destination vrf group: any     Source addresses: any     Destination addresses: any     Applications: any     Source identity feeds: any     Destination identity feeds: any     Action: permit From zone: trust, To zone: dmz   Policy: trust_to_untrust, State: enabled, Index: 5, Scope Policy: 0, Sequence number: 1, Log Profile ID: 0     Source vrf group: any     Destination vrf group: any     Source addresses: any     Destination addresses: any     Applications: any     Source identity feeds: any     Destination identity feeds: any          Action: permit From zone: dmz, To zone: untrust   Policy: trust_to_untrust, State: enabled, Index: 6, Scope Policy: 0, Sequence number: 1, Log Profile ID: 0     Source vrf group: any     Destination vrf group: any     Source addresses: any     Destination addresses: any     Applications: any     Source identity feeds: any     Destination identity feeds: any     Action: permit

 

방화벽 Hit Count 확인

root> show security policies hit-count   Logical system: root-logical-system Index   From zone        To zone           Name           Policy count  Action 1       trust            untrust           trust_to_untrust 15          Permit  2       trust            dmz               trust_to_untrust 0           Permit  3       dmz              untrust           trust_to_untrust 10          Permit  Number of policy: 3 root>

 

방화벽 NAT 확인

root> show security nat source summary  Total pools: 0 Total rules: 1 Rule name          Rule set       From              To                   Action PAT-INTERFACE      SOURCE-NAT     dmz               untrust              interface PAT-INTERFACE                     trust             root> show security nat source rule all    Total rules: 1 Total referenced IPv4/IPv6 ip-prefixes: 3/0 source NAT rule: PAT-INTERFACE          Rule-set: SOURCE-NAT   Rule-Id                    : 1   Rule position              : 1   From zone                  : dmz                              : trust   To zone                    : untrust   Match     Source addresses         : 10.1.1.0        - 10.1.1.255                                20.1.1.0        - 20.1.1.255     Destination addresses    : 0.0.0.0         - 255.255.255.255   Action                        : interface     Persistent NAT type         : N/A      Persistent NAT mapping type : address-port-mapping      Inactivity timeout          : 0     Max session number          : 0   Translation hits           : 10     Successful sessions      : 10   Number of sessions         : 0

 

방화벽 설정값

root> show configuration | display set | no-more  set version 21.3R1.9 set system root-authentication encrypted-password "$6$foWa5m5j$QTNzAZvC.AJNs4b9yJq/18Qp038uo2x6rPM/imUQn/M3hFIJsz5FxlOXdwq6iS2UG12O3SIpFdTzZBYi4wmkY1" set security nat source pool source_nat address 192.168.10.84/32 set security nat source rule-set SOURCE-NAT from zone dmz set security nat source rule-set SOURCE-NAT from zone trust set security nat source rule-set SOURCE-NAT to zone untrust set security nat source rule-set SOURCE-NAT rule PAT-INTERFACE match source-address 10.1.1.0/24 set security nat source rule-set SOURCE-NAT rule PAT-INTERFACE match source-address 20.1.1.0/24 set security nat source rule-set SOURCE-NAT rule PAT-INTERFACE match destination-address 0.0.0.0/0 set security nat source rule-set SOURCE-NAT rule PAT-INTERFACE then source-nat pool source_nat set security nat proxy-arp interface ge-0/0/0.0 address 192.168.10.84/32 set security policies from-zone trust to-zone untrust policy trust_to_untrust match source-address any set security policies from-zone trust to-zone untrust policy trust_to_untrust match destination-address any set security policies from-zone trust to-zone untrust policy trust_to_untrust match application any set security policies from-zone trust to-zone untrust policy trust_to_untrust then permit set security policies from-zone trust to-zone dmz policy trust_to_untrust match source-address any set security policies from-zone trust to-zone dmz policy trust_to_untrust match destination-address any set security policies from-zone trust to-zone dmz policy trust_to_untrust match application any set security policies from-zone trust to-zone dmz policy trust_to_untrust then permit set security policies from-zone dmz to-zone untrust policy trust_to_untrust match source-address any set security policies from-zone dmz to-zone untrust policy trust_to_untrust match destination-address any set security policies from-zone dmz to-zone untrust policy trust_to_untrust match application any set security policies from-zone dmz to-zone untrust policy trust_to_untrust then permit set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust host-inbound-traffic protocols all set security zones security-zone trust interfaces ge-0/0/1.0 set security zones security-zone untrust host-inbound-traffic system-services all set security zones security-zone untrust host-inbound-traffic protocols all set security zones security-zone untrust interfaces ge-0/0/0.0 set security zones security-zone dmz host-inbound-traffic system-services all set security zones security-zone dmz host-inbound-traffic protocols all set security zones security-zone dmz interfaces ge-0/0/2.0 set interfaces ge-0/0/0 unit 0 family inet address 192.168.10.83/24 set interfaces ge-0/0/1 unit 0 family inet address 10.1.1.254/24 set interfaces ge-0/0/2 unit 0 family inet address 20.1.1.254/24 set protocols lldp interface all set routing-options static route 0.0.0.0/0 next-hop 192.168.10.253 root>

 

지금까지 [2025][Juniper SRX #26] Source Nat - SNAT - IP Pool 글을 읽어주셔서 감사합니다.